ameaça é uma fraqueza ou deficiência que pode ser explorada.

ataque é um evento ou atitude indesejável que potencialmente remove, desabilita, danifica ou destrói um recurso.

risco depende da probabilidade de uma ameaça atingir um sistema e do impacto resultante deste ataque.

ameaças que envolvem invasão e/ou monitoramento, sem alterações de informações, são denominadas ativas.

a análise de riscos despreza vulnerabilidades, concentrando-se em medir ameaças e impactos em um dado ambiente.